SLES에 LUKS 암호화 데이터 볼륨 설정하기

SUSE Linux Enterprise Server에서 새 데이터 볼륨을 생성할 때, SUSE에서 암호화된 파티션과 마운트 구성을 한 번에 생성하도록 하려면 YaST Expert Partitioner를 사용하십시오. cryptsetup반복 가능한 명령줄 설정이 필요하고, 파티션 생성 /etc/crypttab, /etc/fstab마운트, 부팅 테스트까지 관리할 수 있는 경우에 사용하세요. 두 방법 모두 기존 볼륨을 안전하게 암호화하는 것은 아닙니다. 파티션에 LUKS를 생성하면 기존 내용이 덮어쓰여집니다.

이 내용은 SLES 15 SP7 설명서를 따릅니다. 이전 서비스 팩 버전은 다를 수 있습니다. 적용 범위: 루트 파티션이 아닌 새 데이터 파티션 /boot또는 변경 계획이 없는 프로덕션 데이터베이스 디스크. 시작하기 전에 데이터를 백업하고 복구 대상 및 암호를 확인하십시오.

방법과 LUKS 형식을 선택하세요.

YaST는 SLES 15 SP4부터 LUKS2를 지원하지만, SUSE는 해당 선택기를 실험적 기능으로 분류하고 명시적으로 활성화해야 한다고 안내합니다. LUKS2를 활성화하기 위해 운영 체제 부팅 매개변수를 변경하지 마십시오. 실행 중인 시스템 파티셔너가 LUKS2를 지원하지 않는 경우, 검증된 CLI 방식이나 YaST의 기본 설정을 사용하십시오. LUKS2는 최신 헤더를 사용하고 최대 32개의 키와 레이블을 지원하며, 더 많은 메모리를 사용하는 Argon2를 사용할 수 있습니다. 이전 버전과의 호환성을 위해서는 LUKS1을 선택하고, 서비스 팩, 복구 도구 및 백업을 테스트한 후에만 LUKS2를 선택하십시오. 정확한 옵션은 SUSE의 YaST Expert Partitioner 참조 설명서를 확인하십시오.

YaST: 단일 볼륨 관리를 위한 유지보수 부담이 적은 방법

1. 대상 디스크 또는 파티션을 식별합니다. 안정적인 장치 식별자, 크기, 현재 파일 시스템 및 마운트 지점을 기준으로 일치하는 디스크 또는 파티션을 찾습니다 . 백업된 전용 대상인지 확인합니다. 필요한 데이터가 포함되어 있으면 중지합니다. YaST lsblk -fp의 findmnt암호화 워크플로는 선택한 파티션을 포맷합니다.
2. 파티셔너를 엽니다. YaST 제어 센터에서 시스템 > 파티셔너를 선택합니다 . 전문가 파티셔너에서 원하는 디스크를 선택하고, 필요한 경우 전용 파티션을 생성하거나, 기존의 빈 파티션을 선택하고 편집을 선택합니다 . 적용하기 전에 장치와 크기를 다시 확인하십시오.
3. 암호화를 활성화하고 사용 용도를 정의하십시오. '장치 암호화'를 선택하고 XFS 또는 워크로드에서 지원하는 다른 파일 시스템과 같은 파일 시스템을 선택한 다음 마운트 지점을 설정하십시오. 볼륨을 /etc/fstab시작 시 자동으로 마운트할지 또는 수동 마운트를 위해 계속 사용할지 선택하십시오. SUSE는 메시지가 표시될 때 필요한 암호화 소프트웨어를 설치해야 할 수 있다고 안내합니다.
4. LUKS를 선택하고 암호를 설정하세요. 강력한 암호를 입력하고 확인한 후 YaST 설정을 완료하세요. YaST에서 LUKS2를 선택하려면 먼저 YaST 구성에서 해당 실험적 지원을 활성화해야 합니다. 그렇지 않으면 암호화 방식 선택기가 나타나지 않을 수 있습니다. 암호를 조직의 승인된 비밀 관리 절차에 저장하세요. 암호를 분실하면 데이터에 접근할 수 없게 됩니다.

cryptsetup: 더 많은 제어 권한, 더 많은 수작업

이 대안은 검증 및 백업을 완료한 새롭고 마운트되지 않은 파티션에만 사용하십시오. `yaST`가 cryptsetup설치되어 있는지 확인하십시오 cryptsetup --version. 설치되어 있지 않으면 승인된 SLES 저장소와 조직의 패키지 관리 프로세스를 사용하십시오. `.` 아래의 자리 표시자를 확인된 안정적인 경로로 바꾸십시오 /dev/disk/by-id/. 포맷 명령은 해당 대상의 데이터를 삭제하므로 추측된 이름으로는 절대 실행하지 마십시오 /dev/sdX. SUSE의 SLES 15 SP7 암호화 가이드에서 YaST 워크플로 및 제한 사항을 확인할 수 있습니다.

5. LUKS 컨테이너를 생성합니다. 이 예제에서는 LUKS2를 명시적으로 요청합니다. 명령 프롬프트에서 암호와 확인 메시지가 표시됩니다. 암호를 명령줄이나 스크립트에 직접 입력하지 마십시오.

DEVICE=/dev/disk/by-id/REPLACE_WITH_VERIFIED_ID
sudo cryptsetup luksFormat --type luks2 "$DEVICE"

6. 매핑 잠금을 해제하세요./dev/mapper/appdata_crypt 암호를 입력하면 아래와 같은 매핑 이름이 생성됩니다 .

sudo cryptsetup open "$DEVICE" appdata_crypt

7. 파일 시스템을 생성하고 마운트합니다. 이 예제에서는 XFS /srv/appdata파일 시스템을 사용합니다. 파일 시스템을 생성하면 매핑된 장치의 데이터가 지워지므로, 새 매핑된 장치에서만 실행해야 합니다.

sudo mkfs.xfs /dev/mapper/appdata_crypt
sudo mkdir -p /srv/appdata
sudo mount /dev/mapper/appdata_crypt /srv/appdata

8. 시작 동작을 구성하고 확인하십시오. 부팅 시 대화형 암호 입력 프롬프트를 표시하려면 LUKS UUID를 에 추가 /etc/crypttab하고 매퍼 마운트를 에 추가하십시오 /etc/fstab. 를 사용하여 LUKS UUID를 가져온 sudo cryptsetup luksUUID "$DEVICE"다음 구성의 예제 자리 표시자를 바꿉니다.

# /etc/crypttab
appdata_crypt UUID=PASTE_LUKS_UUID_HERE none luks

# /etc/fstab
/dev/mapper/appdata_crypt /srv/appdata xfs defaults 0 2

재부팅하기 전에 매핑 및 마운트를 테스트하십시오. cryptsetup status appdata_crypt예상되는 매핑이 보고되고, findmnt /srv/appdata의도한 경로에 XFS가 표시되며, lsblk -f암호화된 컨테이너와 매핑된 파일 시스템이 표시되는지 확인하십시오. 서버가 헤드리스인 경우 부팅 시 암호 입력 프롬프트로 인해 자동 마운트가 불가능할 수 있습니다. 평문 키를 동일한 호스트에 저장하지 마십시오. 중앙에서 관리되는 서버 키의 경우, SUSE의 cryptctl 설명서에서 자체적인 가용성, 백업 및 신뢰 요구 사항을 갖춘 별도의 키 서버 설계에 대해 설명합니다.

암호화가 보호하는 것과 보호하지 못하는 것

LUKS는 전원이 꺼진 서버에서 분리된 디스크와 같이 잠긴 장치의 데이터를 보호합니다. 마운트되면 호스트 권한에 따라 액세스가 제어됩니다. 백업은 별도로 암호화하고, 보호된 복구 자료와 함께 LUKS 헤더 백업을 저장하십시오. LUKS는 잠금 해제된 볼륨이나 손상된 실행 중인 시스템을 보호하지 않습니다.

SLES 데이터 볼륨이 하나인 경우, 사용 가능한 형식이 요구 사항을 충족한다면 YaST를 사용하는 것이 좋습니다. cryptsetup추가 구성 관리가 자동화에 유리한 경우에만 사용하십시오. 서비스 재개 전에 잠금 해제, 마운트, 애플리케이션 액세스 및 복구 기능을 확인하십시오.